搜索

[28149] 2020-02-10_逆向分析永恒之蓝勒索蠕虫病毒

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-02-10_逆向分析永恒之蓝勒索蠕虫病毒 逆 向 分 析 永 恒 之 蓝 勒 索 蠕 虫 病 毒 吾 爱 破 解   O t s 安 全   2 0 2 0 - 0 2 - 1 0 前 言 前 言 本 文 分 析 的 病 毒 ， 是 一 种 新 型 电 脑 病 毒 ， 主 要 以 邮 件 、 程 序 木 马 、 网 页 挂 马 的 形 式 进 行 传 播 。 该 病 毒 性 质 恶 劣 、 危 害 极 大 ， 一 旦 感 染 将 给 用 户 带 来 无 法 估 量 的 损 失 。 这 种 病 毒 利 用 各 种 加 密 算 法 对 文 件 进 行 加 密 ， 被 感 染 者 一 般 无 法 解 密 ， 必 须 拿 到 解 密 的 私 钥 才 有 可 能 破 解 。 该 病 毒 会 扫 描 端 口 ， 目 标 机 器 被 成 功 攻 陷 后 会 从 攻 击 机 下 载 W a n n a C r y 病 毒 进 行 感 染 ， 并 作 为 攻 击 机 再 次 扫 描 互 联 网 和 局 域 网 其 他 机 器 ， 形 成 蠕 虫 感 染 。 病 毒 运 行 病 毒 运 行 1 . 电 脑 感 染 勒 索 病 毒 后 ， 电 脑 桌 面 出 现 新 的 文 本 文 件 或 网 页 文 件 ， 敲 诈 加 密 程 序 t a s k s c h e . e x e 、 敲 诈 者 解 密 程 序 @ W a n a D e c r y p t o r @ . e x e 等 ， 同 时 桌 面 上 显 示 勒 索 提 示 信 息 及 解 密 联 系 方 式 、 勒 索 信 息 背 面 图 面 。 2 . 电 脑 中 的 文 件 进 行 加 密 ， 后 缀 名 为 . w n c r y 等 ， 用 记 事 本 打 开 加 密 文 件 ， 发 现 头 部 有 W A N A C R Y ! 标 识 ， 并 且 含 有 病 毒 的 文 件 夹 被 隐 藏 了 。   3 . 在 弹 出 的 提 示 框 中 可 以 看 到 比 特 币 字 样 和 购 买 比 特 币 的 金 额 ， 付 款 地 址 等 ， m s g 对 应 下 拉 列 表 中 的 内 容 。
4 . 点 击 c h e c k   p a y m e n t ， 如 果 与 该 病 毒 程 序 相 连 的 匿 名 网 络 ( 洋 葱 网 络 ) 在 线 ， 则 检 查 成 功 ， 否 则 检 查 失 败 ， 如 果 检 查 成 功 ， 则 会 把 秘 钥 发 送 过 来 ， 在 c . w n r y 中 可 以 看 到 洋 葱 网 络 地 址 。 5 . 如 果 进 行 了 购 买 ， 那 么 病 毒 相 连 的 匿 名 网 络 会 发 送 钱 包 地 址 给 病 毒 作 者
6 . 随 后 就 可 以 进 行 解 密   7 . 病 毒 运 行 时 ， 运 行 了 几 个 子 进 程 ， 母 体 进 程 和 子 进 程 之 间 的 关 系 如 下 ：
8 ． 发 现 u . w n r y 为 d l l 文 件 并 且 里 面 有 W a n a D e c r y p t o r @ . e x e 运 行 时 出 现 的 文 字 ， 该 文 件 释 放 后 就 是 W a n a D e c r y p t o r @ . e x e 9 . 用 0 1 0 e d i t o r 打 开 病 毒 释 放 的 文 件 ， 发 现 r . w n r y : 为 提 示 文 件 ， 包 含 中 招 提 示 信 息 ， s . w n r y 为 z i p 文 件
病 毒 行 为 分 析 病 毒 行 为 分 析 1 . @ W a n a D e c r y p t o r @ . e x e 行 为 分 析 行 为 分 析 该 程 序 为 病 毒 运 行 的 客 户 端 程 序 ， 用 户 可 以 通 过 它 付 款 给 病 毒 制 做 者 ， 付 款 成 功 之 后 ， 会 发 送 解 密 密 钥 ， 可 以 解 密 电 脑 已 加 密 文 件 ， 在 该 程 序 中 用 户 可 以 联 系 病 毒 制 做 者 和 查 看 感 染 时 间 等 ， 该 软 件 好 像 破 解 不 了 ， 不 能 获 取 到 解 密 密 钥 。 1 . 先 看 看 大 致 的 主 体 逻 辑 ， 先 是 初 始 化 对 话 框
2 . 往 注 册 表 创 建 键 值 往 注 册 表 创 建 键 值 3 . 读 取 读 取 c . w n r y 和 和 0 0 0 0 0 0 0 0 . r e s 文 件 ， 获 取 文 件 ， 获 取 k e r n e l 3 2 . d l l 中 的 中 的 A P I 函 数 函 数
4 . 初 始 化 权 限 ， 运 行 病 毒 窗 口 程 序 初 始 化 权 限 ， 运 行 病 毒 窗 口 程 序

6 . 当 用 户 发 送 信 息 时 ， 会 触 发 以 下 操 作 当 用 户 发 送 信 息 时 ， 会 触 发 以 下 操 作 7 . 当 用 户 点 击 当 用 户 点 击 c h e c k   p a y m e n t 时 ， 执 行 如 下 代 码 ， 不 过 付 钱 之 后 ， 仍 然 不 会 下 发 解 密 密 钥 ， 这 里 起 到 了 误 导 的 作 用 。 时 ， 执 行 如 下 代 码 ， 不 过 付 钱 之 后 ， 仍 然 不 会 下 发 解 密 密 钥 ， 这 里 起 到 了 误 导 的 作 用 。
8 . 当 点 击 解 密 时 ， 程 序 判 断 文 件 夹 下 是 否 存 在 密 钥 文 件 ， 若 不 存 在 ， 判 断 当 点 击 解 密 时 ， 程 序 判 断 文 件 夹 下 是 否 存 在 密 钥 文 件 ， 若 不 存 在 ， 判 断 T o r 目 录 下 是 否 存 在 目 录 下 是 否 存 在 t a s k h s v c . e x e ， 若 不 存 ， 若 不 存 在 ， 则 生 成 该 文 件 ， 并 运 行 在 ， 则 生 成 该 文 件 ， 并 运 行 2 . T o r 程 序 分 析 程 序 分 析 @ W a n a D e c r y p t o r @ . e x e 需 要 通 过 该 需 要 通 过 该 t o r 程 序 连 接 洋 葱 网 络 ， 当 用 户 点 击 发 送 消 息 时 ， 通 过 它 往 目 的 地 发 送 消 息 ， 运 行 程 序 连 接 洋 葱 网 络 ， 当 用 户 点 击 发 送 消 息 时 ， 通 过 它 往 目 的 地 发 送 消 息 ， 运 行 该 程 序 时 ， 会 让 该 程 序 时 ， 会 让 @ W a n a D e c r y p t o r @ . e x e 运 行 。 运 行 。 1 . 分 析 一 下 它 的 大 致 逻 辑 分 析 一 下 它 的 大 致 逻 辑
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理